Ripple se mueve para reducir la superficie de ataque del XRP Ledger mientras las pruebas de auditoría de IA impulsan el préstamo

Ripple está trabajando para reducir la superficie de ataque del XRP Ledger (XRPL) mientras se prepara para expandir el préstamo nativo.

La compañía ha recomendado eliminar más de 10,000 líneas de código no utilizado de XChainBridge mientras el Protocolo de Préstamo V1.1 se somete a una revisión de seguridad solo con IA a través del Motor de Auditoría de Sherlock.

Los esfuerzos paralelos se producen mientras las plataformas de criptomonedas enfrentan una presión renovada para fortalecer sus defensas. Se perdieron más de 1.31 mil millones de dólares en 344 incidentes de seguridad en la primera mitad de 2026, siendo las vulnerabilidades de código la categoría de ataque más común en la industria.

Axelar deja a Ripple con 10,000 líneas que ya no quiere

El argumento original para mantener XChainBridge (XLS-38) se debilitó después de que Ripple recurriera a Axelar para la Cadena Lateral EVM de XRPL y la demanda más amplia del puente nativo no se materializara.

XLS-38 fue diseñado para permitir que los activos se movieran entre XRPL y cadenas laterales conectadas a través de servidores testigos que observan transacciones y atestiguan la actividad a través de redes. La arquitectura estaba destinada a soportar cadenas laterales privadas, autorizadas y experimentales, al tiempo que proporcionaba un puente entre la red principal de XRPL y la Cadena Lateral EVM.

Ripple finalmente eligió Axelar para la Cadena Lateral EVM después de evaluar la seguridad, la experiencia del usuario, la descentralización y las demandas operativas de mantener un puente.

La compañía dijo que el modelo de testigos de XLS-38 tenía compensaciones que se volvieron más difíciles de manejar a medida que aumentaba el valor protegido por un puente. Ampliar el conjunto de testigos podría mejorar la descentralización, pero añadiría complejidad de coordinación y gobernanza, mientras que un grupo más pequeño concentraría más confianza entre los operadores.

Ripple anunció su decisión de usar Axelar en junio de 2024, pero mantuvo XLS-38 disponible para una votación de validadores y dio a los desarrolladores aproximadamente de 12 a 15 meses para demostrar la demanda de cadenas laterales privadas que requerían específicamente la enmienda.

Sin embargo, esa demanda no alcanzó el nivel que Ripple esperaba.

El resultado es un bloque sustancial de código inactivo que los desarrolladores deben seguir manteniendo y revisando, aunque su caso de uso principal se haya manejado en otro lugar.

Ripple estima que retirar XChainBridge y la enmienda relacionada fixXChainRewardRounding eventualmente eliminaría más de 10,000 líneas de xrpld.

Ripple identificó la carga de mantenimiento, la complejidad de los contribuyentes y la superficie de ataque como costos de retener funcionalidad inactiva, argumentando que XRPL debería permanecer ágil a medida que la red evoluciona.

La recomendación no elimina XLS-38 de inmediato. Ripple controla un voto de validador, y la propuesta sigue sujeta al proceso de enmienda de XRPL.

Si la comunidad apoya el cambio, Ripple planea primero marcar XChainBridge como obsoleto. Los validadores que adopten una versión de software que contenga esa designación dejarían de votar por la enmienda, permitiendo que el código se elimine en una versión posterior una vez que la red converja.

Ripple también dejó abierta la posibilidad de reconsiderar si los desarrolladores pueden demostrar proyectos concretos que aún requieran XLS-38.

El préstamo plantea un desafío de seguridad diferente

Reducir el código legado se produce mientras XRPL se prepara para introducir infraestructura de préstamos con considerablemente más interacciones financieras que asegurar.

El Protocolo de Préstamo V1.1 se basa en el impulso de Ripple para llevar capacidades nativas de préstamo y endeudamiento a XRPL junto con Cofres de Activos Únicos. La arquitectura subyacente combina gestión del ciclo de vida del préstamo, cálculos de tasas de interés, enrutamiento de tarifas entre múltiples partes, permisos basados en credenciales e interacciones con grupos de activos.

Ripple ha descrito el sistema de préstamos como una de las adiciones más complejas financieramente desarrolladas para XRPL desde el lanzamiento de la red.

El 27 de agosto, Sherlock anunció que V1.1 había entrado en una revisión de seguridad intensiva solo con IA a través de su Motor de Auditoría. El sistema combina múltiples auditores de IA y modelos de vanguardia con capacidades de seguridad especializadas, ajustando la cobertura y la profundidad al protocolo que se está examinando.

Sherlock no ha revelado ningún hallazgo ni una fecha de finalización. Dijo que se proporcionará un informe más completo una vez que se termine el proceso.

La revisión sigue un proceso de seguridad inusualmente extenso para la base de código de préstamos y el Vault de Activos Únicos anterior, donde pruebas repetidas encontraron vulnerabilidades incluso después de rondas anteriores de escrutinio.

Ripple e Immunefi llevaron a cabo un ataque de $200,000 a finales de 2025 que abarcó 35,498 líneas de código. Atrajo 455 presentaciones de 131 investigadores y, en última instancia, produjo 94 hallazgos únicos válidos, incluidos 15 clasificados como críticos y 19 de alta gravedad. Ripple dijo que abordó todos los problemas identificados.

La compañía sometió posteriormente el sistema de préstamos a auditorías adicionales, pruebas comunitarias, fuzzing y un programa de equipo rojo asistido por IA.

Entre marzo y mayo, el equipo rojo de IA de Ripple presentó 20 tickets específicos de préstamos e identificó siete errores confirmados que fueron corregidos.

Entre ellos había un invariante invertido que podría haber permitido que colaterales fantasma pasaran desapercibidos, un vector de spam sin tarifas relacionado con pagos de préstamos y un problema de desbordamiento de enteros que podría haber causado un bloqueo en un nodo.

Estos hallazgos proporcionan una razón práctica para las pruebas repetidas mientras Ripple trabaja en V1.1. La compañía dijo que la mejora incorpora comentarios de socios y lecciones de la implementación anterior.

El programa más amplio de equipo rojo de IA de Ripple también ha descubierto problemas de alta gravedad fuera de los préstamos. Una versión de xrpld centrada en la seguridad lanzada a principios de este año incluyó correcciones para rutas de fallo públicas, problemas de verificación de límites e interacciones entre características identificadas a través del programa y las pruebas asociadas.

La ola de ataques en criptomonedas aumenta el costo de los errores no detectados

La expansión del programa de seguridad de XRPL coincide con un entorno de ataques en toda la industria que ha permanecido costoso a pesar de años de auditorías y programas de recompensas por errores.

En julio, CertiK registró $1.315 mil millones en pérdidas a través de 344 incidentes de seguridad durante los primeros seis meses de 2026.

Si bien eso fue inferior a la cifra principal del año anterior, el primer semestre de 2025 incluyó la excepcional violación de $1.45 mil millones de Bybit. Excluyendo ese evento, CertiK calculó que las pérdidas comparables aumentaron aproximadamente un 28% este año.

Las vulnerabilidades de código fueron el tipo de ataque más frecuente, apareciendo en 204 incidentes. CertiK también encontró que los atacantes estaban regresando cada vez más a contratos de más de un año, mostrando cómo las vulnerabilidades pueden seguir siendo explotables mucho después de que el software ha sido desplegado.

Algunas de las mayores pérdidas provinieron de otras debilidades. Los compromisos de billetera generaron más de $444 millones en pérdidas, mientras que el compromiso de Kelp DAO RPC y la violación del Protocolo Drift representaron juntos $576 millones.

Esa distinción es significativa porque ninguna auditoría de código, impulsada por IA o de otro tipo, aborda todas las amenazas de seguridad que enfrenta un protocolo o sus usuarios.

Como consecuencia, Ripple ha estado utilizando varias capas de pruebas en lugar de confiar exclusivamente en la IA. Su proceso de desarrollo de préstamos ha incluido auditorías independientes, competiciones de seguridad públicas, fuzzing, métodos formales, pruebas comunitarias y descubrimiento de vulnerabilidades asistido por IA.

Los propios investigadores de seguridad de Ripple también han advertido contra tratar la IA como un reemplazo para la revisión experta. La compañía dijo que sus tuberías de IA producen falsos positivos y que la validación humana sigue siendo particularmente importante para errores sutiles donde un modelo puede malinterpretar cómo se supone que debe comportarse un invariante.

Eso crea una prueba adicional para el compromiso solo de IA de Sherlock. La revisión podría mostrar hasta dónde pueden extenderse los modelos especializados en la cobertura de seguridad de protocolos, pero su utilidad dependerá en última instancia de las vulnerabilidades que identifique y de si esos hallazgos se traducen en soluciones antes de que V1.1 avance.

Por ahora, Sherlock no ha publicado resultados. Ripple está tratando de reducir las fuentes conocidas de complejidad innecesaria en una parte de XRPL mientras somete a la próxima generación de funcionalidad financiera a un escrutinio cada vez más agresivo antes de que más valor dependa de ella.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.